A partire dal 2010, il governo degli Stati Uniti ha imposto a tutti i sistemi informativi federali di conformarsi al quadro di gestione della sicurezza informatica governativo (, RMF) Risk Management Framework (RMF), un insieme di standard di sicurezza finalizzati alla progettazione, alla protezione e al monitoraggio dei sistemi informatici.
Attualmente gestiti dall’ , dall’Istituto Nazionale di Standard e Tecnologia (NIST) e dall’, gli standard RMF offrono linee guida dettagliate sulle migliori pratiche per migliorare la sicurezza informatica di fronte a minacce quali violazioni dei dati e attacchi ransomware.
In questo articolo del blog fornirò una panoramica del quadro di riferimento RMF ( NIST ) e spiegherò in che modo Tanium Risk e altri prodotti Tanium possano aiutare le agenzie a conformarsi a questi importanti standard.
[Leggi anche: Che cos’è la gestione del rischio? [Una panoramica semplificata]
NIST quadri di riferimento in materia di sicurezza per la gestione del rischio
Cominciamo col definire ciò che intendiamo gestire.
Risk, secondo NIST, è «una misura del grado in cui un’entità è minacciata da una circostanza o da un evento potenziale, e in genere dipende da: (i) l’impatto negativo, ovvero l’entità del danno, che si verificherebbe qualora la circostanza o l’evento si verificasse; e (ii) la probabilità che ciò avvenga». Per comprendere il rischio informatico, quindi, un’organizzazione deve comprendere il valore delle proprie risorse informatiche e il danno che potrebbe derivare da un’interruzione o da un danneggiamento di tali risorse.
Un’organizzazione deve inoltre comprendere la probabilità di ciascuna potenziale minaccia, in modo da poter stabilire le priorità dei propri investimenti e delle proprie misure di risposta al fine di ridurre il rischio in modo adeguato. Dopotutto, non è certo opportuno investire ingenti somme per prevenire un rischio con una probabilità del 0,01%, trascurando al contempo rischi che presentano una probabilità del 10%.
Lo standard principale dell’ NIST , volto a definire il quadro di riferimento federale in materia di sicurezza e gestione dei rischi, è l’ , NIST, SP 800-37 Rev. 2,. Il presente standard fornisce «un processo rigoroso, strutturato e flessibile per la gestione dei rischi relativi alla sicurezza e alla privacy, che comprende la classificazione della sicurezza delle informazioni; la selezione, l’implementazione e la valutazione dei controlli; le autorizzazioni relative ai sistemi e ai controlli comuni; nonché il monitoraggio continuo».
In queste valutazioni sono fondamentali la precisione e la tempestività. NIST La norma 800-37 richiede alle organizzazioni IT di attuare un monitoraggio in tempo reale o quasi in tempo reale, andando oltre i rapporti sullo stato giornalieri o settimanali su cui i team di sicurezza potrebbero aver fatto affidamento in passato per endpoint sicurezza . A differenza di un approccio basato su istantanee periodiche dello stato delle infrastrutture critiche, l’RMF «promuove una gestione dei rischi quasi in tempo reale e un’autorizzazione continua dei sistemi informativi e dei controlli comuni attraverso l’implementazione di processi di monitoraggio continuo … [e] fornisce ai vertici aziendali e ai dirigenti le informazioni necessarie per prendere decisioni efficienti ed economicamente vantaggiose in materia di gestione dei rischi riguardo ai sistemi a supporto delle loro missioni e funzioni aziendali».
Esecuzione di valutazioni dei rischi con l’ NIST , SP 800-30
Secondo il documento SP 800-39 dell’ NIST, i processi di gestione del rischio comprendono: (i) la definizione del rischio; (ii)
la valutazione del rischio; (iii) la risposta al rischio; e (iv) il monitoraggio del rischio.
NIST SP 800-30: La guida dell’ e per lo svolgimento delle valutazioni relative all’ Risk approfondisce i dettagli relativi all’esecuzione della seconda fase di tale elenco, ovvero la valutazione dei rischi. NIST SP 800-30 : una procedura volta a definire l’ambito, lo scopo e altri elementi della valutazione. Successivamente, descrive come condurre la valutazione stessa, che prevede le seguenti fasi:
- Identificare le fonti di minaccia e gli eventi
- Individuare le vulnerabilità e le condizioni predisponenti
- Determinare la probabilità che si verifichi
- Determinare l'entità dell'impatto
- Determinazione del rischio
Questa valutazione non conclude il lavoro. I risultati della valutazione devono essere comunicati alle parti interessate e la valutazione deve essere aggiornata, avvalendosi del monitoraggio «per mantenere aggiornate le conoscenze specifiche relative ai rischi a cui sono esposte le organizzazioni».
L’organizzazione dispone dei sistemi di rendicontazione necessari per condividere le valutazioni dei rischi con i soggetti interessati del settore aziendale e informatico? Esiste un metodo sistematico per mantenere aggiornata la valutazione, garantendo, ad esempio, che una valutazione effettuata una settimana fa sia ancora valida oggi? Queste sono alcune delle domande che i responsabili IT e della sicurezza potrebbero porsi dopo aver studiato il documento “ NIST, SP 800-30”.
Gestione dei rischi legati alla sicurezza delle informazioni con l' NIST , SP 800-39
Un altro standard, l’ NISTe SP 800-39, Gestione della sicurezza delle informazioni Risk, fornisce linee guida per «un programma integrato a livello organizzativo volto a gestire i rischi per la sicurezza delle informazioni che gravano sulle operazioni dell’organizzazione (ovvero, missione, funzioni, immagine e reputazione), sui beni dell’organizzazione, sulle persone, su altre organizzazioni e sulla Nazione, derivanti dal funzionamento e dall’uso dei sistemi informativi federali».
La norma propone un approccio a tre livelli alla gestione del rischio: «(i) a livello organizzativo; (ii) a livello di missione/processo aziendale; e (iii) a livello di sistema informativo». Una gestione efficace dei rischi, in altre parole, richiede un approccio di ampio respiro, che tenga conto della missione e delle strategie dell’organizzazione, dei suoi processi aziendali e dei singoli sistemi informatici.
NIST La norma 800-39 propone che le pratiche di gestione dei rischi dell’organizzazione includano:
- Sviluppare un’architettura informatica correlata agli obiettivi strategici delle organizzazioni, alle missioni e alle funzioni aziendali definite, nonché ai relativi processi operativi e di missione.
- Integrazione di un’architettura di sicurezza delle informazioni che attui i requisiti di sicurezza delle informazioni a livello architettonico.
- Tradurre i requisiti di sicurezza delle informazioni derivanti dall’architettura del “segmento” o dell’“area operativa” in controlli di sicurezza specifici per i sistemi informativi e gli ambienti operativi, nell’ambito dell’architettura della soluzione.
- Assegnazione dei controlli di sicurezza gestionali, operativi e tecnici ai sistemi informativi e agli ambienti operativi, secondo quanto definito dall’architettura di sicurezza delle informazioni.
Il primo passo consiste nell’identificare i potenziali rischi sulla base della missione dell’organizzazione e dei suoi sistemi informatici. Si inizi individuando il ruolo che i singoli sistemi e le risorse svolgono nel sostenere la strategia e la missione dell’azienda. Successivamente, si proceda a un’analisi creativa per individuare tutti i rischi rilevanti per ciascuno di tali sistemi e risorse.
Ad esempio, se la missione dell’organizzazione dipende da un server web, si considerino tutte le minacce, dolose o meno, che potrebbero interrompere il funzionamento o danneggiare tale server web. Il Suo elenco potrebbe includere attacchi DDoS, interruzioni di corrente, problemi di configurazione, picchi di utilizzo e così via.
Segue poi la misurazione e la valutazione dei rischi, basata sulla comprensione del modo in cui specifici sistemi informatici contribuiscono alla missione complessiva dell’organizzazione e sulla probabilità che determinati rischi incidano su tali sistemi.
Una volta identificati i rischi e classificati in base alla probabilità, l’organizzazione dovrebbe adottare misure volte a mitigarli. Ad esempio, qualora la presenza di server privi di patch venisse identificata come un rischio, l’azienda potrebbe implementare un sistema di gestione delle patch per mitigare tale rischio.
I risultati di tali tre fasi precedenti dovrebbero essere comunicati alle parti interessate e monitorati per determinare se lo stato dei rischi sia cambiato. Il processo si conclude con la governance. In questa fase, i responsabili IT e aziendali decidono dove e come investire per ridurre i rischi e ottimizzare la gestione complessiva dei rischi.
In che modo “ Tanium ” contribuisce a sostenere il quadro di riferimento per la gestione “ Risk ”
La piattaforma Tanium offre ai team addetti alla sicurezza e alle operazioni IT una visione unica, completa e in tempo reale dei dati critici relativi all’ endpoint , consentendo alle organizzazioni di prendere decisioni informate e di agire rapidamente per ridurre al minimo le interruzioni e minimizzare i rischi. Tanium I moduli — componenti della piattaforma “ Tanium ” — rispondono ai requisiti fondamentali dell’RMF.
Tanium moduli per l'identificazione dei rischi
Tre moduli di “ Tanium ” forniscono le informazioni in tempo reale sull’ endpoint e di cui le aziende hanno bisogno per comprendere quali sistemi IT dispongono — sia in sede, in sedi remote o nel cloud — e in che modo tali sistemi interagiscono per supportare le operazioni e i processi.
- Discover – Effettuare un inventario completo dell’intero ambiente su tutti gli endpoint in pochi minuti. Eseguite la scansione delle reti con centinaia di migliaia di endpoint per individuare le risorse non gestite, in modo che gli amministratori possano bloccarle o integrarle nella gestione.
- Asset – Creare e mantenere rapidamente un inventario accurato delle vostre risorse IT, in modo da poter prendere decisioni più efficaci in materia di gestione dei rischi e di successo operativo.
Tanium moduli per la misurazione e la valutazione del rischio
Una volta identificate le minacce, le vulnerabilità, l’impatto, la probabilità e le condizioni predisponenti, è possibile calcolare e classificare i rischi che la vostra organizzazione deve affrontare utilizzando i seguenti moduli di Tanium :
- Comply – Individuate le vulnerabilità e le lacune di conformità su tutti i vostri endpoint in pochi minuti anziché in giorni o settimane.
- Reveal – Individuare rapidamente le modifiche apportate ai campi contenenti dati sensibili e intervenire direttamente sull’ endpointe.
- Impact – Identifichi rapidamente gli account e i sistemi ad alto rischio per ridurre la superficie di attacco.
- Integrity Monitor – Monitorare costantemente i file critici di basso livello del sistema operativo, delle applicazioni e del Registro di sistema, intensificando le indagini quando vengono attivati gli avvisi.
- Risk – Ottenete i dati in tempo reale, l’automazione e le analisi necessarie per prendere decisioni informate in modo più rapido, grazie a una valutazione completa dei rischi legati all’ endpoint . Utilizzi questi dati per stabilire le priorità delle azioni grazie a un sistema intelligente di valutazione del rischio basato su metriche operative e di sicurezza.
Tanium moduli per la mitigazione dei rischi
Successivamente, prenda il Suo elenco dei rischi ordinati per gravità e inizi a individuare come mitigare le minacce, partendo da quelle più gravi fino a quelle meno gravi. Lei e il suo team potreste decidere che non valga la pena affrontare i rischi al di sotto di un certo livello, sia perché la probabilità che si verifichino è troppo remota, sia perché avete individuato rischi ben più urgenti su cui concentrarvi nel primo mandato. Va bene così. Risk La gestione è un processo continuo. Se un rischio è realmente rilevante, avrà modo di affrontarlo quando ripeterà il processo di analisi dei rischi. E qualora la probabilità di tale rischio dovesse aumentare improvvisamente, sarete preparati grazie al software di gestione dei rischi Tanium , che vi fornirà informazioni in tempo reale sui rischi e vi consentirà di attuare controlli in tempo reale per contenere e mitigare le minacce.
I seguenti moduli di Tanium possono aiutarLa a ridurre i rischi.
- Deploy – Installare, aggiornare e disinstallare software in base a una serie flessibile di gruppi di computer di destinazione o a un singolo computer.
- Patch – Pianifichi l’applicazione delle patch del sistema operativo per correggere in pochi secondi le patch mancanti sugli endpoint.
- Applicare – Centralizzare e Enforce la gestione delle politiche su tutti i sistemi operativi e in tutte le sedi dei dispositivi.
- Threat Response – Individuare in modo proattivo gli avversari utilizzando euristiche arbitrarie.
Tanium moduli per la rendicontazione e il monitoraggio dei rischi
L’RMF richiede che le organizzazioni tengano un elenco dei rischi noti e li monitorino per garantire il rispetto di tutte le politiche applicabili.
- Trends – Acquisite una visione d’insieme delle principali metriche di sicurezza e dello stato operativo creando visualizzazioni che mostrino i dati attuali e storici provenienti dagli endpoint.
- Risk – Elaborare report volti a illustrare le principali tendenze, i miglioramenti e i parametri di riferimento del settore, da presentare ai dirigenti e al consiglio di amministrazione. Utilizzando Risk per il monitoraggio continuo degli endpoint, potrete migliorare la vostra conformità e la vostra posizione di rischio.
- Connect – Integrare facilmente “ Tanium ” con soluzioni di terze parti e con la dashboard CDM federale degli Stati Uniti.
Affidatevi a Tanium per la conformità alle norme RMF
Tanium ha aiutato le agenzie federali e altre organizzazioni ad adottare un approccio proattivo ed efficiente in materia di rischio e conformità. Grazie alla combinazione del suo modello di dati estensibile, del protocollo di comunicazione distribuito e dell’agente leggero, la piattaforma Tanium consente ai clienti di risparmiare tempo e ridurre i costi associati alla gestione del rischio.
La piattaforma “ Tanium ”:
- Fornisce e garantisce una visibilità completa non solo sulle vulnerabilità e sulle lacune di conformità, ma anche sul rischio complessivo su tutti i propri endpoint in pochi minuti anziché in giorni o settimane.
- Offre un’unica fonte di riferimento, accurata e completa, che favorisce il raggiungimento di un consenso in merito alla definizione delle priorità e alle azioni correttive tra i team responsabili delle operazioni IT, della sicurezza e della gestione dei rischi.
- Consentire ai team di risolvere rapidamente i problemi in tutti i propri ambienti senza dover cambiare strumento.
- Risparmia alle organizzazioni i costi e le difficoltà legati all’acquisto di un ulteriore strumento e all’installazione dell’infrastruttura necessaria.
Scoprite di più su “ : misurare il rischio di endpoint nel settore pubblico” nel nostro ultimo eBook. Se desiderate scoprire in che modo Tanium può aiutare la vostra organizzazione a raggiungere la conformità RMF, vi preghiamo di contattarci.
